何が起きたか
OpenAIのアライメントチームは2026-09-25に、GPT-Red(自己対戦型レッドチーミングフレームワーク)がコンピュータワームのように自己伝播する新しいクラスのプロンプトインジェクションを発見したと公開しました。このインジェクションは敵対的目標を実行するとともに、防御側エージェントに公開出力チャネルでインジェクションを複製するよう誘導します。検証された例には、偽の思考連鎖と偽のツールメッセージスタイルによる電子メール伝播とファイルシステム/コードコメント複製が含まれ、Codexハーネス内のGPT-5.5でのマルチホップ攻撃も含まれます。実世界での影響はゼロと報告されています。
なぜ重要か
これは、フロンティアモデルに対する自己複製型プロンプトインジェクションワームのベンダー確認された最初のデモンストレーションです。エグレス接続ツール(電子メール、git、チャット)を使用して自律エージェントを実行している防御者にとって、これはワーム伝播プリミティブがフロンティア能力レベルで現実であることを示しています — 間接プロンプトインジェクションをインターネット規模のエージェントワームに変換するまさにそのプリミティブであり、同じウィンドウでのMemTensor/npmサプライチェーンワームの傾向を裏付けています。
攻撃経路
プロンプトインジェクションは、エージェントが読み取る電子メール/ドキュメント/画像に埋め込まれます。ペイロードはエージェントに悪意のあるアクションを完了させるとともに、インジェクションをそのまま発信メッセージ/公開出力(電子メール返信、ファイル、コードコメント)にコピーするよう指示し、その出力を読み取る次のエージェントが再実行して再伝播します — ネットワーク型の自己複製です。
影響を受けるシステム
一般的なLLMエージェント(OpenAI内部のGPT-Red/GPT-5.5 Codex評価。新しい攻撃クラス。製品固有のCVEなし)
緩和策
取得したすべてのドキュメント、ツール出力、電子メール、エージェント要約を信頼できないコンテキストとして扱う。シンク/エグレスを分離する。コンテナワームと同じ制御を適用する。一次情報: https://alignment.openai.com/misalignment-reports/self-replicating-prompt-injections-exist/ (2026-09-25公開)